In breve
Secondo la ISO/IEC 17021-1 l'audit di certificazione iniziale si svolge sempre in due fasi: lo Stage 1 valuta la prontezza, lo Stage 2 attuazione ed efficacia.
Lo Stage 1 verifica documentazione, perimetro e requisiti di legge, e se audit interni e riesami della direzione sono pianificati e svolti.
Le aree di attenzione dello Stage 1 non sono ancora non conformità, ma sono proprio i punti che l'auditor guarderà nello Stage 2.
Le correzioni delle non conformità maggiori vanno verificate entro sei mesi dall'ultimo giorno dello Stage 2, altrimenti serve un nuovo Stage 2.
Il certificato lo decidono persone dell'organismo diverse dagli auditor, dopo la raccomandazione del gruppo di audit.
L'auditor non arriva per trovarti in errore: arriva per vedere se il sistema funziona davvero. Cosa ti chiederà nelle due fasi e cosa tenere a portata di mano.
L'audit di certificazione ISO iniziale si svolge sempre in due tempi, Stage 1 e Stage 2, e non è una formalità burocratica. Lo stabilisce la ISO/IEC 17021-1, la norma internazionale che fissa i requisiti per gli organismi che certificano i sistemi di gestione: vale per la ISO 9001 come per la ISO 14001, la ISO 27001 o la ISO 45001. Conoscere quelle regole ti permette di sapere in anticipo cosa guarderà l'auditor, in che ordine e con quale obiettivo.
Qui trovi cosa verifica l'organismo in ciascuna fase, come si svolge una giornata di audit dalla riunione di apertura a quella di chiusura, cosa succede se emergono non conformità e quali documenti ed evidenze tenere pronti. Se ti serve prima un ripasso su cosa sia una certificazione e su come funziona l'intero percorso, parti dalla nostra guida su cosa sono le certificazioni ISO.
Cos'è l'audit di certificazione iniziale e perché si divide in due fasi?
L'audit di certificazione iniziale è la verifica con cui un organismo accreditato valuta se il tuo sistema di gestione rispetta la norma. Secondo la ISO/IEC 17021-1 si svolge obbligatoriamente in due fasi: Stage 1 e Stage 2.
La divisione ha una logica precisa. Nello Stage 1 l'auditor capisce come è costruito il sistema e se l'azienda è pronta; nello Stage 2 verifica che quel sistema sia applicato ed efficace nella realtà quotidiana. Le due fasi fanno parte di un programma di audit triennale, che comprende anche gli audit di sorveglianza nel primo e nel secondo anno dopo la decisione di certificazione e l'audit di rinnovo nel terzo anno, prima della scadenza. Di sorveglianze e rinnovi parliamo nella guida dedicata agli audit di sorveglianza e ricertificazione.
Chi fa l'audit e chi decide il certificato
L'audit lo conduce un gruppo di audit guidato da un responsabile, il team leader. Ma chi verifica non è chi decide: la ISO/IEC 17021-1 richiede che la decisione di concedere o negare la certificazione sia presa da persone diverse da quelle che hanno svolto l'audit.
In pratica, a fine Stage 2 il gruppo di audit formula una raccomandazione e trasmette all'organismo il rapporto, i commenti sulle non conformità e le azioni intraprese. La decisione arriva dopo un riesame interno all'organismo. Per questo, anche se la riunione di chiusura va bene, il certificato non viene consegnato in quel momento: serve un passaggio successivo, i cui tempi dipendono dall'organismo e dalla chiusura di eventuali non conformità.
Il piano di audit e il diritto di conoscere gli auditor
Prima di ogni audit l'organismo prepara un piano di audit con obiettivi, criteri, perimetro, date, sedi, durata prevista e ruoli del gruppo. Le date si concordano in anticipo con te. Lo Stage 1, precisa la norma, non richiede un piano formale, ma l'organismo deve informarti delle attività che svolgerà in sede.
C'è poi un diritto poco conosciuto. L'organismo deve comunicarti i nomi dei componenti del gruppo di audit, e su richiesta il loro profilo, con anticipo sufficiente perché tu possa opporti a un nominativo per un motivo valido, ad esempio un auditor che in passato ha lavorato per te o per un concorrente diretto. In quel caso l'organismo deve ricomporre il gruppo.
Cosa verifica l'auditor nello Stage 1?
Nello Stage 1 l'auditor valuta la tua prontezza: legge la documentazione, conosce il contesto e decide se ci sono le condizioni per passare allo Stage 2. Non è ancora la verifica completa dell'applicazione del sistema.
Gli obiettivi dello Stage 1 sono elencati dalla ISO/IEC 17021-1 alla clausola 9.3.1.2. Tradotti in linguaggio operativo, l'auditor deve:
esaminare le informazioni documentate del sistema di gestione (politica, campo di applicazione, procedure, registrazioni);
valutare le condizioni specifiche del sito e parlare con il personale per capire se l'azienda è pronta allo Stage 2;
verificare quanto l'azienda abbia compreso i requisiti della norma, in particolare aspetti significativi o prestazioni chiave, processi e obiettivi;
raccogliere informazioni sul perimetro: sedi, processi e attrezzature, livelli di controllo, requisiti di legge applicabili;
verificare le risorse per lo Stage 2 e concordarne i dettagli;
capire abbastanza del sistema e delle attività per pianificare bene lo Stage 2;
valutare se audit interni e riesami della direzione sono pianificati e svolti, e se il livello di attuazione giustifica il passaggio allo Stage 2.
Il punto che blocca più aziende: audit interno e riesame
L'ultimo obiettivo è quello che più spesso ferma il percorso. Se all'arrivo dell'auditor l'audit interno non è stato svolto o il riesame della direzione non esiste, mancano le prove che il sistema si controlla da solo, e lo Stage 2 rischia di slittare.
Prendi un'azienda tipo: un'officina meccanica di quaranta persone che punta alla ISO 9001. Ha scritto le procedure, ha la politica per la qualità firmata, ha mappato i processi. Ma l'audit interno è "in programma il mese prossimo" e il riesame della direzione è previsto "dopo la certificazione". Per l'auditor quel sistema non ha ancora dimostrato di funzionare. La soluzione è semplice da dire e meno da fare: chiudi un ciclo completo di audit interno e riesame prima dello Stage 1. Come impostarlo lo spieghiamo nella guida all'audit interno ISO.
Dove si svolge lo Stage 1: in sede o da remoto
La norma non impone che lo Stage 1 si svolga in sede, ma osserva che farne almeno una parte presso di te aiuta a raggiungerne gli obiettivi. Vedere il sito, i reparti e le persone permette all'auditor di valutare condizioni reali che un documento non racconta.
La ISO/IEC 17021-1 ammette che parti dell'audit si svolgano con mezzi elettronici, come videochiamate, condivisione di documenti o accesso remoto ai sistemi, purché da personale competente e con evidenze sufficienti per decidere. Le regole di dettaglio sull'uso di queste tecnologie sono raccolte nel documento mandatorio internazionale IAF MD 4. Per te la conseguenza pratica è una sola: chiedi all'organismo, al momento della pianificazione, quali attività saranno in sede e quali a distanza.
Come si chiude lo Stage 1 e cosa succede prima dello Stage 2?
Lo Stage 1 si chiude con conclusioni documentate che l'organismo deve comunicarti. Indicano se gli obiettivi sono stati raggiunti, se sei pronto per lo Stage 2 e quali aree di attenzione potrebbero diventare non conformità nella fase successiva.
Non è un rapporto completo come quello dello Stage 2: la norma precisa che l'esito dello Stage 1 non deve rispettare tutti i requisiti di un rapporto di audit. Ma è lo strumento più utile che riceverai in tutto il percorso, perché ti dice con precisione dove guarderà l'auditor quando tornerà.
Le aree di attenzione: un preavviso, non una bocciatura
Le aree di attenzione segnalate nello Stage 1 non sono ancora non conformità. Sono punti deboli che, se restano tali, potrebbero esserlo nello Stage 2.
Qualche esempio frequente: un campo di applicazione scritto in modo troppo generico, obiettivi senza indicatori misurabili, un elenco di requisiti legali incompleto, una valutazione dei rischi fatta ma non collegata alle azioni. Tratta ogni area di attenzione come un compito con responsabile e una data, e conserva l'evidenza di cosa hai fatto. Quando l'auditor tornerà, la prima cosa che guarderà sarà proprio quella.
Quanto tempo passa tra le due fasi
La ISO/IEC 17021-1 non fissa un intervallo minimo o massimo tra Stage 1 e Stage 2. Chiede invece all'organismo di tenere conto del tempo che ti serve per risolvere le aree di attenzione emerse.
Questo ha due conseguenze. La prima: un intervallo troppo breve, scelto solo per chiudere in fretta, ti lascia senza margine per sistemare ciò che è emerso. La seconda: se nel frattempo cambia qualcosa di significativo nel sistema, ad esempio una nuova sede o un cambio di proprietà, l'organismo valuta se ripetere in tutto o in parte lo Stage 1. La norma prevede anche che tu venga informato che i risultati dello Stage 1 possono portare al rinvio o all'annullamento dello Stage 2.
Cosa verifica l'auditor nello Stage 2?
Lo Stage 2 serve a valutare l'attuazione e l'efficacia del sistema di gestione. Si svolge presso le sedi dell'azienda ed è la fase in cui l'auditor passa dai documenti alla realtà.
La clausola 9.3.1.3 della ISO/IEC 17021-1 elenca ciò che lo Stage 2 deve coprire come minimo:
informazioni ed evidenze di conformità a tutti i requisiti della norma applicabile;
monitoraggio, misurazione, rendicontazione e riesame delle prestazioni rispetto a obiettivi e traguardi chiave;
capacità e prestazioni del sistema nel rispettare i requisiti di legge, regolamentari e contrattuali applicabili;
controllo operativo dei processi;
audit interni e riesame della direzione;
responsabilità della direzione rispetto alle politiche aziendali.
Come l'auditor raccoglie le evidenze
Le informazioni vengono raccolte con interviste, osservazione dei processi ed esame di documenti e registrazioni. Sono i tre metodi indicati dalla norma, e di solito l'auditor li incrocia: chiede a un operatore come gestisce un prodotto non conforme, guarda come lo fa davvero, poi controlla la registrazione.
L'audit si basa su un campionamento. L'auditor non legge tutto: sceglie alcune commesse, alcuni fornitori, alcune registrazioni di formazione, e verifica che siano coerenti. Per questo non serve preparare montagne di carta, ma serve che qualunque campione scelga racconti la stessa storia. Se la procedura dice che i fornitori si valutano ogni anno, le tre schede che l'auditor apre devono avere una valutazione dell'ultimo anno.
Le persone, non solo i documenti
Nello Stage 2 l'auditor parla con chi lavora, non solo con il responsabile qualità. Una direzione coinvolta davvero è uno dei punti che la norma chiede di verificare: l'auditor vorrà sentire dal titolare o dall'amministratore perché esistono quegli obiettivi e come vengono seguiti.
Prepara le persone senza recitare un copione. Chi risponde "non lo so, ma so dove trovarlo" fa una figura migliore di chi ripete a memoria una procedura che non applica. Spiega a ciascuno cosa fa l'auditor, quali domande potrebbe ricevere sul proprio lavoro e dove sono le istruzioni e le registrazioni che usa ogni giorno.
Come si svolge una giornata di audit, dall'apertura alla chiusura?
Ogni audit in sede segue uno schema prevedibile: riunione di apertura, raccolta delle evidenze, riunione di chiusura e rapporto scritto. Conoscerlo riduce l'ansia e ti aiuta a organizzare persone e spazi.
La riunione di apertura
La riunione di apertura è formale e coinvolge la direzione e, se serve, i responsabili dei processi da verificare. Il team leader presenta il gruppo, conferma il campo di certificazione e il piano, i canali di comunicazione, la riservatezza, le regole di sicurezza per gli auditor, il metodo di campionamento e la lingua dell'audit.
È anche il momento giusto per fare domande: la norma prevede che tu possa chiedere chiarimenti. Fai in modo che ci siano un referente disponibile per tutta la giornata, una sala per il gruppo di audit e accesso rapido ai documenti e ai sistemi.
Durante l'audit
Il team leader deve tenerti aggiornato sull'andamento e su eventuali criticità mentre l'audit procede. Se emerge la necessità di modificare il perimetro, ne parla con te e lo riferisce all'organismo.
Le non conformità vanno discusse con l'azienda per verificare che le evidenze siano corrette e che il rilievo sia compreso. Un dettaglio importante: l'auditor non può suggerirti la causa o la soluzione di una non conformità. Può indicare opportunità di miglioramento, ma senza raccomandare soluzioni specifiche, perché altrimenti verrebbe meno la sua imparzialità. Se lo vedi esitare quando gli chiedi "come lo sistemerebbe lei?", sta semplicemente rispettando la regola.
La riunione di chiusura e il rapporto
Alla riunione di chiusura il team leader presenta le conclusioni e la raccomandazione sulla certificazione. Le non conformità devono essere spiegate in modo comprensibile e si concordano i tempi per rispondere.
Ti vengono illustrati anche i tempi del rapporto, la gestione delle non conformità e le procedure di reclamo e ricorso. Se non sei d'accordo con un rilievo, dillo in quella sede: le divergenze non risolte vengono registrate e inviate all'organismo. Il rapporto scritto, che resta di proprietà dell'organismo, arriva dopo e contiene anche una dichiarazione sulla conformità e l'efficacia del sistema.
Cosa succede se nell'audit emergono non conformità?
Una non conformità è il mancato soddisfacimento di un requisito. Trovarne una non significa perdere la certificazione: significa che devi analizzarne la causa e correggerla entro tempi definiti.
Non conformità maggiori e minori
La ISO/IEC 17021-1 distingue due livelli. Una non conformità maggiore compromette la capacità del sistema di raggiungere i risultati attesi: per esempio quando c'è un dubbio significativo che i processi siano sotto controllo, oppure quando più non conformità minori sullo stesso requisito rivelano un problema sistemico. Una non conformità minore, invece, non compromette questa capacità.
La differenza pesa sulla decisione. Prima di certificare, l'organismo deve aver esaminato, accettato e verificato le correzioni e le azioni correttive per ogni non conformità maggiore; per le minori basta che abbia esaminato e accettato il tuo piano. Approfondiamo criteri ed esempi nella guida su non conformità maggiori e minori.
La regola dei sei mesi
Per le non conformità maggiori c'è un limite preciso. Se l'organismo non riesce a verificare l'attuazione delle correzioni e delle azioni correttive entro sei mesi dall'ultimo giorno dello Stage 2, deve svolgere un nuovo Stage 2 prima di raccomandare la certificazione.
In ogni caso l'organismo ti chiede di analizzare la causa e di descrivere correzioni e azioni correttive entro un tempo stabilito. La verifica può avvenire su documenti che invii tu oppure, quando serve, con una nuova visita in sede. Un esempio concreto: l'auditor trova tre strumenti di misura con la taratura scaduta. La correzione è tarare quegli strumenti; l'azione correttiva è capire perché lo scadenziario non ha funzionato e cambiare il modo in cui viene gestito. Inviare solo i certificati di taratura risolve il sintomo, non la causa, e difficilmente verrà accettato.
Cosa tenere a portata di mano per lo Stage 1 e lo Stage 2?
Arrivare all'audit con le evidenze ordinate è il modo più semplice per ridurre i tempi morti e i malintesi. La tabella riassume cosa preparare per ciascuna fase.
Cosa preparare | Stage 1 | Stage 2 |
|---|---|---|
Campo di applicazione, politica e obiettivi con indicatori | Sì, da esaminare | Sì, con i dati di monitoraggio aggiornati |
Mappa dei processi, sedi e attrezzature principali | Sì | Sì, verificati sul campo |
Elenco dei requisiti legali applicabili | Sì | Sì, con evidenza del rispetto |
Analisi dei rischi e delle opportunità | Sì | Sì, collegata ad azioni concrete |
Audit interno e relativo rapporto | Sì, pianificato e svolto | Sì, con azioni chiuse o in corso |
Verbale del riesame della direzione | Sì, pianificato e svolto | Sì, con decisioni e azioni tracciate |
Registrazioni operative (formazione, fornitori, tarature, non conformità) | A campione | Sì, a campione su tutto il periodo |
Azioni sulle aree di attenzione dello Stage 1 | Non applicabile | Sì, con evidenze |
Oltre ai documenti, organizza la logistica: un referente unico, l'agenda delle persone da intervistare, una sala, l'accesso ai sistemi informatici e, se l'audit è in parte da remoto, una connessione stabile e la possibilità di condividere lo schermo. Per i contenuti minimi del sistema di gestione qualità puoi fare riferimento alla nostra guida sulla ISO 9001.
Come Complaion ti accompagna tra le due fasi
In Complaion un Lead Auditor dedicato segue l'azienda per tutto il percorso: analizza il punto di partenza, propone il percorso più adatto alle tue esigenze, imposta il sistema con te e ti prepara all'audit, gestendo anche il dialogo con l'organismo di certificazione. Il Lead Auditor non è l'auditor dell'organismo: è dalla tua parte e lavora per farti arrivare pronto. Prima dello Stage 1 l'audit interno lo conduce il tuo Lead Auditor Complaion, con lo stesso metro dell'organismo: le lacune emergono e si chiudono prima della visita.
Accanto al Lead Auditor lavora la piattaforma: raccoglie le evidenze, gestisce i documenti con le loro versioni, tiene lo scadenziario di tarature, formazione, valutazione dei fornitori e audit interni, e prepara il materiale per l'audit. Quando l'auditor chiede tre schede fornitori a campione, le trovi nello stesso posto, aggiornate e con lo storico. Puoi vedere come funziona nella pagina della piattaforma.
Quali errori rendono più difficile l'audit di certificazione?
Gli errori più frequenti non riguardano la conoscenza della norma, ma la coerenza tra carta e realtà. L'auditor li riconosce in fretta perché il campionamento li fa emergere.
Il primo è il sistema scritto ma non vissuto: procedure copiate da un modello, che descrivono un'azienda diversa da quella che l'auditor vede in reparto. Il secondo è l'audit interno fatto in fretta la settimana prima, con un rapporto senza rilievi: per un auditor esperto, un audit interno che non trova nulla è un segnale debole, non una garanzia.
Il terzo errore è sottovalutare i requisiti di legge applicabili. Nella ISO 14001 e nella ISO 45001, ma anche nella ISO 9001 per i requisiti di prodotto, l'auditor verifica che tu sappia quali obblighi si applicano e come li rispetti. Un'autorizzazione scaduta o una scadenza di legge mancata difficilmente sfuggono al campionamento.
Il quarto è il referente unico improvvisato: una sola persona che conosce dove sono i documenti, assente proprio il giorno dell'audit. Distribuisci la conoscenza e tieni le evidenze in un luogo condiviso, con una versione corrente chiara.
Come preparare l'audit di certificazione con Complaion
Lo Stage 1 e lo Stage 2 premiano chi arriva con un sistema applicato davvero e con le evidenze in ordine. Il resto, dall'intervallo tra le fasi alla gestione delle non conformità, diventa molto più gestibile quando sai cosa aspettarti.
Complaion affianca più di 1.000 clienti con un modello che unisce un Lead Auditor dedicato e una piattaforma che raccoglie le evidenze, gestisce i documenti, tiene lo scadenziario e prepara l'audit. Il Lead Auditor ti propone il percorso più adatto alla tua azienda, per la prima certificazione come per le norme che vorrai aggiungere, dalla ISO 9001 alla ISO 27001, tra quelle che trovi nella pagina certificazioni e normative.
Se hai un audit in calendario o vuoi capire da dove partire, parla con il nostro team: valutiamo insieme il tuo punto di partenza e ti prepariamo un preventivo sulle tue esigenze.
Domande frequenti sull'audit di certificazione ISO
Lo Stage 1 e lo Stage 2 si possono svolgere nello stesso giorno?
La ISO/IEC 17021-1 non fissa un intervallo minimo tra le due fasi, ma chiede all'organismo di tenere conto del tempo che ti serve per risolvere le aree di attenzione dello Stage 1. Lo Stage 2, inoltre, si pianifica sulla base di ciò che è emerso nello Stage 1. Per una PMI alla prima certificazione conviene quasi sempre lasciare un margine tra le fasi, così da sistemare i punti segnalati. La tempistica si concorda con l'organismo in fase di pianificazione.
Lo Stage 1 può bocciarmi?
Lo Stage 1 non si conclude con una decisione di certificazione, ma con conclusioni sulla tua prontezza. Se il sistema non è pronto, l'organismo può rinviare o, nei casi più seri, annullare lo Stage 2: la norma prevede che tu ne sia informato. Più che una bocciatura è uno stop per completare il sistema, ad esempio svolgendo l'audit interno o il riesame della direzione mancanti.
Quanto dura l'audit di certificazione?
La durata dipende dalla norma, dalla complessità dell'azienda e del sistema, dal contesto tecnologico e normativo, dalle attività esternalizzate, dalle dimensioni e dal numero di sedi e dai rischi di prodotti e processi. La ISO/IEC 17021-1 chiede agli organismi di avere procedure documentate per calcolarla e di registrarne la giustificazione. Per questo due aziende simili possono ricevere durate diverse. L'organismo ti indica la durata prevista nell'offerta e nel piano di audit.
L'auditor può dirmi come risolvere una non conformità?
No. La ISO/IEC 17021-1 vieta all'auditor di suggerire la causa o la soluzione di una non conformità e di raccomandare soluzioni specifiche nel rapporto. Può segnalare opportunità di miglioramento, ma la soluzione resta una scelta tua. È una garanzia di imparzialità del certificato: chi certifica non può progettare ciò che poi giudicherà.
Cosa succede se non sono d'accordo con un rilievo?
Durante l'audit il team leader deve cercare di risolvere le divergenze sulle evidenze o sui rilievi. Se restano opinioni diverse, vengono registrate e trasmesse all'organismo. Puoi inoltre usare le procedure di reclamo e ricorso che l'organismo deve illustrarti alla riunione di chiusura. Conviene sempre portare evidenze oggettive a supporto della tua posizione.
Dopo lo Stage 2 ricevo subito il certificato?
No. Il gruppo di audit formula una raccomandazione, ma la decisione spetta a persone dell'organismo diverse da chi ha svolto l'audit. Prima di decidere, l'organismo verifica che le informazioni siano sufficienti e che le non conformità siano state gestite: per le maggiori servono correzioni verificate, per le minori un piano accettato. Il ciclo triennale di certificazione parte dalla data della decisione.
Devo aver fatto l'audit interno prima dello Stage 1?
Tra gli obiettivi dello Stage 1 c'è la verifica che audit interni e riesami della direzione siano pianificati e svolti. Se mancano, l'auditor può concludere che non sei pronto per lo Stage 2. Per questo conviene completare almeno un ciclo di audit interno e riesame della direzione prima di chiamare l'organismo, così da presentarti con un sistema che ha già dimostrato di controllarsi.
